Vim High Risk RCE Hole CVE-2026-34714: AI Dig-in, нула-интерактивен, прилагане на всеки код

През април 2026 г. редакторът на Vim разкри високорискова разлика в прилагането на отдалечен код (CVE-2026-34714, CVS 9.2). Тази вратичка е намерена от изследователи, използващи AI подкрепа одити за постигане на нула интерактивни атаки чрез вграждане на злонамерени табпанелни конфигурации в Modrine: Потребителите могат автоматично да задействат и изпълняват всяка система команда в задната сцена без допълнителна операция, използвайки Vim. В момента POC е отворен, широкообхватен, моля ъпгрейд всички потребители Vim веднага!

Резюме на пропуските

Полета	Подробности
CVE ID	CVE-2026-34714
Размер	Висок риск (CVSS 9.2)
Софтуер за въздействие	Сим е по-малко от 9.2.0272
Тип дупка	Изпълнение на отдалечен код (RCE)
Намиране на метод	Одит за подкрепа на ИИ
Трудно се използва	Ниско (публикува се POC)

Теория на дупката

Метод на атака: Modeline + Tabpanel

Тази вратичка съществува във функцията Tabpanel на Vim, където нападателят използва израза % { explr}, за да инжектира вратичка и да постигне изпълнение на код чрез вграждане на злонамерена конфигурация в Modeline (Model Line) в главата на документа.

Атака:

Нападателят е създал специален файл, съдържащ злонамерен модерин.
Отваряне на файл с потребител с помощта на Vim
Vim задейства вратичка, докато парсинг Modeline
Зловреден израз автоматично се изпълнява зад сцената
Нападателите имат достъп до системата.

Нула интерактивна атака.

Най-опасното е, че това е нулева интерактивна атака:

Потребителят не трябва да изпълнява команда
Просто отвори файла, за да задействаш.
Атаката се извършва зад кулисите.
Потребител без възприятие

Обхват на въздействието

Тази вратичка засяга всички версии преди VIM 9.2.0272, включително:

Vim инсталиран по подразбиране на системата Linux
MacOS' own Vim
Windows Vim
Neovim (частична версия)
IDE- интегриран режим Vim

Ал, изкопай дупка.

Тази вратичка е открита от изследователите чрез AI Assistant Audit, отбелязвайки голям пробив в областта на вратичките:

Одит на автоматизирания код: AI анализира изходния код на Vim и идентифицира пропуските в сигурността в функцията Tabpanel
Разпознаване на режим на дупка: AI идентифицира потенциалния риск от инжектиране на експресия% { expr}
POC Auto Generate: AI спомагателни Генериране на Gap Utilization Code

Програма за рехабилитация

Вариант 1: Незабавно подобрение, Vim

# Ubuntu/Debian
sudo apt update
sudo apt install vim

# CentOS/RHEL
sudo yum update vim

# macOS
brew update
brew upgrade vim

# 验证版本
vim --version

Уверете се, че версията е по-голяма или равна на 9.2.0272

Вариант 2: Временно намаляване

# 在 ~/.vimrc 中添加
set nomodeline
set modelines=0

Резюме

Vim CVE-2026-34714 е високорискова нула-интерактивна RCE вратичка, CBSS резултат 9.2, с широкообхватно въздействие. Тази вратичка беше открита от одитите на Al-аssisted, отбелязвайки голям пробив в областта на изследванията за сигурност.

За всички потребители на Vim е безопасно незабавно да надстроите до 9.2.0272 или повече.

Vim Потребители Забележка: Обновяване незабавно срещу нулевата интерактивна RCE атака!